Zgodnie z prawem amerykańskim firmy są zobowiązane informować odpowiednie organy o cyberatakach dotyczących co najmniej 500 obywateli USA. Zgodnie z tym przepisem przedstawiciele finansowego giganta HSBC przesłali do biura prokuratora generalnego Kalifornii (PDF) oświadczenie, w którym poinformowali o niedawnym ataku na swoje systemy.
Dokument wskazuje, że incydent miał miejsce między 4 a 14 października 2018 roku. Dokładna liczba poszkodowanych użytkowników nie została ujawniona, jednak mowa o „mniej niż 1%”. Biorąc pod uwagę, że z usług HSBC w Stanach Zjednoczonych korzysta około 1,2 miliona osób, może chodzić zaledwie o 12 000 użytkowników amerykańskich, nie licząc klientów z innych krajów, jeśli atak ich dotknął.
Obecnie konta wszystkich poszkodowanych zostały już zablokowane, a bank uruchomił procedurę umożliwiającą zmianę haseł. W dokumencie podano również, że HSBC dodał teraz pewną „dodatkową warstwę ochrony” dla kont użytkowników, ale przedstawiciele instytucji finansowej nie wchodzą w szczegóły.
Sądząc po opisie ataku zawartym w dokumencie, HSBC padł ofiarą tzw. „credential stuffing”. Termin ten oznacza sytuacje, w których nazwy użytkowników i hasła zostają wykradzione z jednych serwisów, a następnie wykorzystane przeciwko innym. Innymi słowy, atakujący dysponują gotową bazą danych uwierzytelniających (zdobytych w darknecie, zebranych samodzielnie itp.) i próbują za ich pomocą logować się do wszystkich witryn i usług, podszywając się pod swoje ofiary.
W wyniku ataku nieznani sprawcy mogli uzyskać dostęp do danych klientów HSBC. Obejmowały one: imiona i nazwiska, adresy korespondencyjne, numery telefonów, adresy e-mail, daty urodzenia, numery kont, typy kont, informacje o saldach, historię transakcji, historię wyciągów itd.
Wiadomo, że przedstawiciele HSBC oferują obecnie poszkodowanym użytkownikom roczną bezpłatną usługę monitorowania zdolności kredytowej oraz ochrony przed kradzieżą tożsamości.
